Thales

Das Luna 7 Network HSM trägt die Zertifikate, die Ausschreibungen heute verlangen: FIPS 140-3 Level 3 mit dem NIST-Zertifikat 4684 für das Modul K7 und Common Criteria EAL4+ nach EN 419 221-5. Die A-Modelle melden Administratoren mit Passwort an, die S-Modelle verlangen zusätzlich das PED-Gerät, ein eigenes Eingabegerät für die Anmeldung.

Thales stellte Luna 8 im August 2026 vor, als erstes Produkt einer neuen Plattform mit selbst entwickeltem Kryptoprozessor. Die Zertifizierungen nach FIPS 140-3 Level 3 und Common Criteria laufen noch (Stand 18.09.2026). Wer ein gültiges Zertifikat braucht, beschafft weiter Luna 7; der Luna HSM Universal Client verbindet beide Generationen.

Jeder Container ist eine eigene Luna 8 Instanz mit bis zu 10 Partitionen und einer eigenen Firmware-Version. Luna 100 führt einen Container, Luna 150 bis zu sechs und Luna 190 bis zu 15. Ein 1U-Gehäuse trägt ein oder zwei Kryptomodule mit zusammen bis zu 30 Instanzen.

Für Betreiber mit mehreren Mandanten oder Anwendungen ändert das die Planung: Statt Partitionen auf einem Gerät zu verteilen, legen wir Container je Mandant oder Anwendungsklasse fest und planen die Firmware-Stände getrennt. So lässt sich ein neues Verfahren in einem Container einführen, während andere Anwendungen auf ihrem bisherigen Stand bleiben.

Angreifer zeichnen verschlüsselten Datenverkehr schon heute auf, um ihn später mit einem Quantencomputer zu entschlüsseln. Deshalb erfassen wir zuerst, welche Anwendungen auf RSA und ECC beruhen, und bewerten jedes System nach Schutzbedarf, Datenlebensdauer und Migrationsaufwand.

Luna 7 unterstützt ML-KEM und ML-DSA ab der Firmware 7.9 vom 29. Juli 2025, bei Luna 8 gehören ML-KEM nach FIPS 203, ML-DSA nach FIPS 204 sowie LMS und HSS zur Plattform; Thales nennt ML-KEM-768 und ML-DSA-65 als nativ unterstützte Parametersätze. Für das payShield 10K nennt Thales keine Post-Quanten-Verfahren; hier planen wir Alternativen in der Roadmap.

Die Vorbereitung beginnt beim Bestand. Mit OSEEK, unserer eigenen Plattform, oder einem Krypto-Inventar als CBOM erfassen wir Algorithmen, Schlüssellängen, Zertifikate und Bibliotheken mit ihrem Fundort. Schutzbedarf und Datenlebensdauer entscheiden danach, welche Systeme in die erste Welle kommen, und diese Begründung hält vor Aufsicht und Prüfern stand.

Größere Zertifikate und Handshakes messen wir vorher in einer Testumgebung an Firewalls, Gateways und Geräten. Während der Übergangszeit laufen klassische und quantensichere Verfahren hybrid, bis alle Gegenstellen die neuen Zertifikate prüfen können. Die Algorithmen wählen wir nach NIST FIPS 203 und 204 sowie BSI TR-02102.

Auf dem HSM setzen wir den Plan um: Container und Partitionen auf Luna 8, Firmware 7.9 auf bestehenden Luna-7-Geräten, Schlüsselzeremonien mit Protokoll. Jede Migrationsentscheidung erhält einen Testnachweis und einen Verantwortlichen, und Kennzahlen zeigen, welche Systeme quantensicher, hybrid oder noch klassisch arbeiten.